evil-mhyprot-cli

Mhyprot2.sys 취약 드라이버에 대한 PoC로, 권한이 없는 사용자 프로세스를 통해 커널/사용자 메모리를 읽고 쓸 수 있게 해줍니다.

• libmhyprot
• Wiki

개요

이 CLI로 할 수 있는 작업은 다음과 같습니다:

• 사용자 모드에서 커널 권한으로 모든 커널 메모리 읽기/쓰기
• 사용자 모드에서 커널 권한으로 모든 사용자 메모리 읽기/쓰기
• 특정 프로세스 ID로 여러 모듈 열거
• 시스템 가동 시간 확인
• 특정 프로세스의 스레드 열거, 그 결과로 CLI에서 직접 커널의 PETHREAD 구조체를 읽을 수 있게 해줍니다.
• 취약 드라이버 컨텍스트(ring-0)에서 호출되는 ZwTerminateProcess로 특정 프로세스 ID를 사용하여 프로세스 종료
• 모든 작업은 취약 드라이버에 의해 커널 수준 권한(ring-0)으로 실행됩니다

또한:

• 관리자 권한은 서비스가 아직 실행 중이지 않은 경우에만 필요합니다
• 따라서 위 명령을 일반 사용자(관리자 권한 없이)로 실행할 수 있습니다

요구 사항

• 드라이버가 작동하는 모든 Windows x64 버전
• 서비스가 이미 실행 중인 경우 관리자 권한은 필요하지 않습니다

테스트 환경:

• Windows10 x64 1903
• Windows7 x64 6.1
• Windows8.1 x64 6.3

사용법

*.exe <target_process_name> -<options>

현재 사용 가능한 옵션은 다음과 같습니다:

• t
  • 테스트 수행
• d
  • 디버그 정보 출력
• s
  • 시드맵 출력

최신